L’Office fédéral allemand de la sécurité de l’information (BSI) a annoncé avoir démantelé un programme malveillant appelé BADBOX qui était préchargé sur au moins 30 000 appareils connectés à Internet vendus dans tout le pays.

Dans un communiqué publié plus tôt cette semaine, les autorités ont indiqué avoir coupé les communications entre les appareils et leurs serveurs de commande et de contrôle (C2) en bloquant les domaines en question. Les appareils concernés incluent des cadres photo numériques, des lecteurs multimédias et des streamers, ainsi que probablement des téléphones et des tablettes.

« Le point commun de tous ces appareils est qu’ils disposent de versions Android obsolètes et qu’ils ont été livrés avec des logiciels malveillants préinstallés », a déclaré le BSI dans un communiqué de presse.

BADBOX a été documenté pour la première fois par l’équipe Satori Threat Intelligence and Research de HUMAN en octobre 2023, le décrivant comme un « système complexe d’acteurs de menace » qui consiste à déployer le malware Android Triada sur des appareils Android à bas prix et hors marque en exploitant les liens faibles de la chaîne d’approvisionnement.

Une fois connectés à Internet, les logiciels malveillants intégrés aux appareils peuvent collecter un large éventail de données telles que des codes d’authentification et installer des logiciels malveillants supplémentaires.

L’opération, qui se déroulerait depuis la Chine, comprend également un botnet de fraude publicitaire appelé PEACHPIT, conçu pour usurper les applications Android et iOS les plus populaires et leur propre trafic frauduleux provenant des appareils infectés par BADBOX via ces applications. Les fausses impressions sont ensuite vendues via la publicité programmatique.

« Cette boucle complète de fraude publicitaire signifie qu’ils gagnaient de l’argent grâce aux fausses impressions publicitaires sur leurs propres applications frauduleuses et usurpées », a déclaré HUMAN à l’époque. « N’importe qui peut acheter accidentellement un appareil BADBOX en ligne sans jamais savoir qu’il s’agit d’un faux, en le branchant et en ouvrant sans le savoir ce malware de porte dérobée. »

Le BSI a déclaré que les appareils compromis par BADBOX sont également capables d’agir comme un service proxy résidentiel, permettant à d’autres acteurs malveillants d’acheminer leur trafic Internet par leur intermédiaire tout en échappant simultanément à la détection. Ils pourraient également être utilisés pour créer des comptes en ligne sur Gmail et WhatsApp.

En plus d’ordonner à tous les fournisseurs Internet du pays comptant plus de 100 000 abonnés de rediriger le trafic vers le gouffre, l’agence exhorte les consommateurs à déconnecter les appareils concernés d’Internet avec effet immédiat.